Cómo proteger documentos físicos con datos sensibles: ciberseguridad más allá del firewall

Justo estos días estoy lidiando con un problema en una de mis webs: unos atacantes encontraron una puerta trasera y la usaron para crear propiedades falsas en Google Search Console. Sí, el clásico “creías que el servidor estaba limpio, pero había un demonio escondido en /tmp saludando desde las sombras”. Y claro, cuando trabajas en seguridad, este tipo de incidentes te deja una pregunta bastante incómoda: si a quienes vivimos entre logs, permisos, backups y revisiones de código nos pueden colar una jugada así, ¿qué ocurre en una empresa que tiene la web sin actualizar, recibe datos de clientes, imprime contratos y guarda expedientes en archivadores que nadie audita?

La ciberseguridad suele imaginarse como un castillo digital lleno de firewalls, antivirus, EDR, VPN, MFA, copias de seguridad y alertas SIEM. Todo eso importa, claro, pero la seguridad de la información no termina cuando apagas el monitor. Cuando gestionas contratos, expedientes, nóminas o documentación de clientes, contar con una empresa de protección de datos especializada puede ayudarte a cerrar la brecha entre la seguridad digital y la documentación física. Porque el papel, aunque parezca cosa de otra época, sigue siendo memoria empresarial en formato analógico.

Y aquí está el bug conceptual: muchas empresas tratan los documentos físicos como si fueran “menos tecnológicos” y, por tanto, menos críticos. Un contrato impreso con datos personales, una nómina olvidada en la impresora o una carpeta de expedientes encima de una mesa forman parte del sistema de información de la empresa. No viven en un servidor, pero contienen datos. No tienen permisos NTFS, pero necesitan control de acceso. No generan logs, pero pueden provocar una brecha.

En esta guía voy a explicar cómo proteger documentos físicos con datos sensibles desde una visión práctica, técnica y empresarial. Veremos qué documentos entran en esta categoría, qué amenazas aparecen en oficinas reales, cómo diseñar un proceso paso a paso, por qué la destrucción documental es una fase crítica y qué checklist puedes usar para revisar tu empresa sin convertirte en un auditor con cara de kernel panic.

Qué son los documentos físicos con datos sensibles y por qué siguen siendo un riesgo

Un documento físico con datos sensibles es cualquier soporte en papel que contiene información personal, financiera, laboral, contractual, médica, estratégica o interna cuya exposición pueda generar un perjuicio. En una pyme española normal, esto puede ser una nómina, un contrato de prestación de servicios, una factura con datos fiscales, un expediente de recursos humanos, una copia de DNI, un albarán, una ficha de cliente o un informe interno con decisiones de negocio.

El problema es que estos documentos se integran en procesos cotidianos. Se imprimen para firmar, se guardan para justificar, se mueven entre departamentos, se archivan por obligación legal y se duplican “por si acaso”. Ese “por si acaso” es una especie de copy-paste organizativo que suele acabar en cajas sin etiquetar, archivadores saturados y carpetas que nadie sabe muy bien quién puede consultar.

Desde una visión de seguridad de la información, el papel es un activo. INCIBE define la protección de la información como el conjunto de medidas preventivas y reactivas destinadas a preservar la confidencialidad, la integridad y la disponibilidad de los datos empresariales (INCIBE, 2025). Esa lógica se aplica igual a un servidor Linux que a un archivador metálico con expedientes laborales.

La diferencia está en la trazabilidad. En un sistema digital bien configurado puedes revisar accesos, cambios, descargas, intentos fallidos y permisos. Puedes tirar de logs, correlacionar eventos y reconstruir una línea temporal. Un folio encima de una mesa no deja rastro. Si alguien lo lee, lo fotografía o lo retira, el documento no va a escribir una entrada elegante en /var/log/auth.log.

Por eso, cuando alguien pregunta cómo proteger documentos físicos con datos sensibles, la respuesta no debería limitarse a “guárdalos bajo llave”. Esa es una medida, pero no una estrategia. La protección real necesita inventario, clasificación, permisos, custodia, conservación, destrucción y revisión periódica. Igual que en una arquitectura de red, una sola capa rara vez basta.

Algunos ejemplos habituales de documentación sensible en empresas son:

• Contratos con clientes, proveedores o empleados
• Nóminas, bajas médicas, expedientes laborales y documentos de recursos humanos
• Facturas, albaranes, justificantes bancarios y documentación fiscal
• Informes internos, presupuestos, ofertas comerciales y planes estratégicos
• Copias de DNI, autorizaciones, consentimientos y formularios firmados
• Documentación de clientes con teléfonos, direcciones, correos o datos económicos
• Expedientes administrativos vinculados a reclamaciones, incidencias o auditorías.

La Agencia Española de Protección de Datos recuerda que el RGPD exige aplicar medidas técnicas y organizativas apropiadas según el riesgo del tratamiento (AEPD, 2025). En cristiano técnico: no basta con tener herramientas digitales si después dejas documentación personal circulando por la oficina como paquetes UDP sin control.

Amenazas habituales: archivadores, impresoras, mesas, papeleras y transporte interno

En la práctica, la protección de datos no termina en los servidores, los permisos de usuario o los sistemas operativos; también depende de cómo se imprimen, guardan, trasladan y eliminan los documentos físicos. Esta frase parece obvia cuando la lees despacio, pero en muchas empresas aún no ha llegado a producción.

La amenaza física más común no suele ser un atacante con sudadera negra y portátil lleno de pegatinas. Suele ser una rutina mal diseñada. La impresora compartida donde quedan documentos olvidados. El archivador sin llave. La mesa de recepción con contratos visibles. La caja de “papeles antiguos” que se mueve de una sala a otra sin registro. La papelera donde alguien tira un borrador con datos de clientes.

Ese es el riesgo silencioso: no hace ruido, no dispara alertas y no aparece en el panel del antivirus. Pero existe.

Impresoras compartidas y documentos olvidados

La impresora es uno de los periféricos más infravalorados de la oficina. Desde un punto de vista de seguridad, una bandeja de salida compartida puede convertirse en una zona de exposición de datos. Alguien imprime una nómina, una factura o un informe de cliente, se distrae con una llamada y el documento queda allí durante veinte minutos.

En ese intervalo puede pasar personal interno, proveedores, visitas, personal de limpieza o trabajadores de otros departamentos. Quizá nadie actúe con mala intención, pero la confidencialidad ya depende de la suerte. Y la suerte, como mecanismo de seguridad, es una librería bastante inestable.

Medidas prácticas:

• Activar impresión segura con PIN o tarjeta cuando sea posible
• Evitar impresiones innecesarias de documentos sensibles
• Ubicar impresoras en zonas controladas, no en pasillos abiertos
• Retirar documentos inmediatamente tras imprimir
• Revisar bandejas al final de la jornada.

Mesas, zonas comunes y visual hacking

El visual hacking es la obtención de información observando documentos, pantallas o notas visibles. No hace falta explotar una vulnerabilidad CVE. Basta con pasar cerca de una mesa y leer un contrato abierto, una lista de clientes o un post-it con una clave escrita a mano. Sí, todavía ocurre y mucho.

La política de escritorio limpio ayuda a reducir este riesgo. No se trata de convertir la oficina en un quirófano minimalista, sino de evitar que información sensible quede expuesta durante pausas, reuniones, visitas o cambios de turno.

Una buena práctica sencilla es cerrar documentos físicos cuando no se están usando y bloquear también el equipo. El combo “carpeta guardada + pantalla bloqueada” no es glamuroso, pero funciona. A veces la seguridad más rentable es aburrida, como un buen cron que hace su trabajo sin presumir.

Archivadores sin llave y archivos sin inventario

Un archivador sin control es como una base de datos sin autenticación. Puede parecer exagerado, pero piensa en ello: si cualquiera puede abrirlo, consultar expedientes y sacar carpetas, no hay control real. El mueble está ahí, sí, pero el proceso está roto.

El control físico debe responder a tres preguntas:

1. Qué documentación se guarda
2. Quién puede acceder
3. Cuándo y por qué se consulta.

Cuando una empresa no tiene inventario documental, aparece un fenómeno muy común: nadie sabe qué hay, cuánto tiempo lleva allí ni si debería seguir conservándose. Ese desorden aumenta riesgos legales, operativos y de reputación. Además, complica cualquier auditoría, porque no puedes proteger bien lo que ni siquiera tienes localizado.

Papeleras convencionales y copias innecesarias

Tirar documentos con datos personales a una papelera normal es el equivalente analógico a publicar un fichero sensible en un bucket mal configurado. Puede que nadie lo vea, pero puede que sí. En seguridad, esa incertidumbre ya es un problema.

Las copias innecesarias agravan el asunto. Cuantas más copias físicas existen, más puntos de exposición aparecen. Una copia queda en contabilidad, otra en administración, otra en gerencia, otra en una carpeta temporal y otra en una caja que se archiva “por si acaso”. Cada duplicado es una réplica sin alta disponibilidad, pero con alta probabilidad de fuga.

Conviene aplicar una regla sencilla: imprimir menos, duplicar menos y destruir mejor.

Traslados internos sin registro ni cadena de custodia

Cuando un expediente se mueve entre departamentos, sedes o almacenes, debería existir trazabilidad. No hace falta montar un sistema digno de la NASA, pero sí registrar quién lo solicita, quién lo entrega, dónde va, cuándo debe volver y qué contiene de forma general.

La cadena de custodia documental no es burocracia vacía. Es memoria operativa. Sin ella, si un documento desaparece, nadie puede reconstruir el recorrido. Y cuando no puedes reconstruir el recorrido, todo se parece demasiado a depurar un programa sin logs, sin commits y sin saber quién tocó la última función.

Cómo proteger documentos físicos con datos sensibles paso a paso

Para entender cómo proteger documentos físicos con datos sensibles, conviene pensar en capas. En redes aprendimos hace décadas que una única barrera no basta. El firewall ayuda, pero también importan los permisos, las actualizaciones, los backups, la segmentación, los logs y la respuesta ante incidentes. Con el papel ocurre algo parecido.

No necesitas una oficina militarizada. Requieres de un proceso razonable, documentado y revisable. Algo que una empresa pueda aplicar sin bloquear la operativa diaria. La seguridad que impide trabajar acaba siendo puenteada por los usuarios, y cualquier informático con años de batalla sabe que el usuario siempre encuentra un atajo si el sistema le estorba demasiado.

1. Identifica qué documentos contienen información sensible

El primer paso es hacer inventario. No de forma poética, sino concreta. Qué documentos existen, dónde se crean, dónde se imprimen, quién los usa, dónde se archivan y cuándo dejan de ser necesarios.

Puedes empezar por áreas:

Esta fase suele revelar más de lo esperado. Documentos duplicados, archivos antiguos, carpetas sin responsable y procesos heredados de alguien que dejó la empresa hace cinco años. Legacy documental, podríamos llamarlo.

2. Clasifica los documentos por nivel de riesgo

No todos los papeles necesitan el mismo nivel de protección. Un catálogo comercial impreso no requiere la misma custodia que una nómina o un expediente disciplinario. La clasificación permite ajustar medidas sin convertir cada folio en material clasificado.

Una clasificación simple puede funcionar muy bien:

• Público: documentación que puede compartirse sin riesgo relevante.
• Interno: información de uso empresarial ordinario.
• Confidencial: documentos con datos personales, financieros o contractuales.
• Restringido: expedientes especialmente sensibles, información laboral delicada, datos de salud, litigios o decisiones estratégicas.

Lo importante es que la clasificación sea comprensible. Si necesitas un máster para decidir dónde colocar un documento, el sistema fallará. Mejor una taxonomía clara que un esquema perfecto que nadie usa.

3. Define quién puede acceder a cada tipo de archivo

Aquí entra la lógica RBAC, control de acceso basado en roles. En digital lo aplicamos con usuarios, grupos y permisos. En papel, el principio es idéntico: cada persona debe acceder solo a la documentación que necesita para su función.

No todo el personal necesita abrir el archivo de recursos humanos. No todos los departamentos necesitan consultar facturas completas. No todas las copias deben circular por la oficina. Este control reduce exposición y también mejora la responsabilidad interna.

Medidas razonables:

• Archivadores cerrados para documentación confidencial
• Salas de archivo con acceso limitado
• Registro de llaves o tarjetas
• Revisión periódica de personas autorizadas
• Acompañamiento a personal externo en zonas con documentos sensibles.

La AEPD habla de medidas técnicas y organizativas apropiadas según el riesgo (AEPD, 2025). En papel, las medidas organizativas pesan muchísimo: permisos, hábitos, formación y responsabilidades claras.

4. Guarda la documentación en espacios cerrados o controlados

El almacenamiento seguro no exige necesariamente tecnología cara. A veces empieza con algo tan simple como usar armarios con cerradura, limitar llaves y evitar que cajas con documentación acaben en salas de paso.

Ahora bien, cuando el volumen de documentación crece, conviene diseñar espacios de archivo con criterios más serios:

• Control de acceso físico
• Orden por categorías y fechas
• Protección frente a humedad, incendio o deterioro
• Separación de documentos activos e históricos
• Identificación clara de responsables de custodia
• Procedimiento de entrada y salida.

El objetivo no es acumular papel de forma bonita. El objetivo es saber qué tienes, dónde está y quién puede tocarlo.

5. Reduce impresiones, copias y duplicados innecesarios

El documento más seguro es el que no necesitas imprimir. Esta frase suena a mantra de administrador de sistemas cansado, pero tiene bastante verdad. Cada impresión añade una superficie de exposición.

Antes de imprimir, merece la pena preguntarse:

• ¿Es necesario tenerlo en papel?
• ¿Debe imprimirse completo?
• ¿Cuántas copias hacen falta?
• ¿Quién las custodiará?
• ¿Cuándo se destruirán?

Reducir impresiones también tiene impacto económico. Menos papel, menos tóner, menos espacio de archivo, menos tiempo buscando carpetas y menos riesgo. Para un empresario, esto no es solo cumplimiento; es eficiencia operativa. Menos ruido en el sistema, menos deuda técnica documental.

6. Registra préstamos, movimientos y traslados internos

Cuando un documento confidencial sale de su ubicación habitual, debe quedar constancia. Puede ser una hoja de registro, una herramienta interna o un sistema de gestión documental híbrido. El formato importa menos que la disciplina.

Un registro mínimo debería incluir:

• Documento o expediente solicitado
• Persona que lo retira
• Departamento o destino
• Fecha y hora de salida
• Motivo de consulta
• Fecha prevista de devolución
• Confirmación de retorno.

Este registro funciona como un log analógico. No es tan elegante como un SIEM, pero permite reconstruir eventos y detectar patrones raros. Si un expediente se consulta demasiadas veces sin motivo claro, conviene revisarlo.

7. Establece plazos de conservación documental

Guardar documentación eternamente no es prudente. Acumular expedientes sin finalidad aumenta el riesgo y complica la gestión. Según la AEPD, los datos personales pueden suprimirse cuando ya no son necesarios para los fines para los que fueron recogidos o tratados (AEPD, 2025). Trasladado al papel, esto obliga a revisar plazos y evitar almacenes llenos de documentos zombis.

Para que el procedimiento sea coherente con la regulación LOPD, conviene documentar qué tipos de archivos conservas, durante cuánto tiempo los necesitas y qué método utilizas para eliminarlos cuando dejan de ser útiles. Esta parte suele parecer administrativa, pero en realidad es arquitectura de seguridad.

Una tabla básica de conservación puede incluir:

La clave está en revisar. Un plazo escrito que nadie aplica es como una política de contraseñas pegada en la intranet desde 2017: tranquiliza, pero no protege.

8. Destruye los documentos de forma segura y conserva evidencias

Cuando un documento deja de ser necesario, hay que eliminarlo de forma segura. No apartarlo. No meterlo en una caja “para revisar”. No tirarlo a la papelera. El ciclo de vida del dato termina cuando deja de poder recuperarse de forma razonable.

Aquí entran la destrucción documental segura, el certificado de destrucción y la cadena de custodia. Si se trabaja con un proveedor externo, conviene exigir evidencias del proceso. Si se destruye internamente, el método debe ser adecuado al nivel de sensibilidad.

La Norma UNE-EN 15713:2024 establece recomendaciones y requisitos para gestionar, controlar y vigilar procesos de destrucción física de material confidencial y sensible (UNE, 2024). Esto refuerza una idea sencilla: eliminar papel con datos personales no debería depender de la buena voluntad de quien vacía la papelera.

Destrucción documental segura: el punto que muchas empresas descuidan

La destrucción documental es uno de esos temas que parecen secundarios hasta que algo sale mal. En informática tenemos una analogía clara: borrar un acceso directo no borra el archivo; eliminar una referencia no garantiza que el dato haya desaparecido; dejar un backup antiguo sin cifrar puede romper toda una estrategia de seguridad. Con el papel pasa algo parecido. Apartar una carpeta no equivale a eliminarla.

La ley de protección de datos exige que la información personal se gestione con medidas adecuadas durante todo su ciclo de vida, incluida la fase final en la que el documento debe eliminarse de forma segura. Esa fase final suele fallar por exceso de confianza. Alguien rompe documentos a mano, usa una trituradora doméstica de tiras largas o tira borradores a una papelera convencional pensando que “total, nadie va a mirar ahí”.

Ese “nadie va a mirar” no debería formar parte de ningún modelo de amenazas serio.

Tirar, destruir y certificar no son lo mismo

Hay tres conceptos que conviene separar:

Tirar es simplemente perder el control. Destruir puede ser válido si el método es adecuado. Certificar aporta evidencia. En auditorías, revisiones internas o investigaciones, la evidencia marca la diferencia entre “creemos que lo hicimos bien” y “podemos demostrar cómo se hizo”.

A un empresario esto debería importarle por tres razones:

1. Reduce riesgo de fuga de información
2. Mejora la defensa ante reclamaciones o inspecciones
3. Ordena procesos internos y evita acumulaciones inútiles.

La destrucción documental no es un ritual legalista. Es cierre de ciclo. Igual que haces rm con cuidado en producción, conviene saber qué eliminas, por qué y con qué garantías.

Qué es la cadena de custodia documental

La cadena de custodia es el registro del recorrido de un documento o lote documental desde que se retira hasta que se destruye. En términos prácticos, responde a preguntas muy simples:

• Qué documentación se destruyó
• Quién autorizó la destrucción
• Quién la retiró
• Cuándo se transportó
• Dónde se destruyó
• Qué evidencia quedó del proceso.

Sin cadena de custodia, existe una zona ciega. Y las zonas ciegas son donde suelen vivir los incidentes. En seguridad, lo que no puedes observar ni demostrar suele convertirse en deuda técnica.

Cuando se usan contenedores cerrados, recogidas programadas, personal autorizado y certificados de destrucción, el proceso gana robustez. No hace falta convertir cada destrucción en una ceremonia criptográfica, pero sí evitar que documentos sensibles viajen por la empresa como variables globales sin control.

Por qué el certificado de destrucción puede salvarte en una auditoría

El certificado de destrucción actúa como evidencia documental. Indica que un conjunto de documentos fue eliminado mediante un proceso definido. Para una empresa, esto tiene valor técnico, legal y operativo.

En una revisión de cumplimiento, poder enseñar que tienes política de conservación, procedimiento de destrucción y evidencias reduce incertidumbre. También demuestra responsabilidad proactiva. La empresa no se limita a decir “cumplimos”; puede enseñar cómo gestiona el proceso.

La Norma UNE-EN 15713:2024 es especialmente útil porque aporta un marco actual para la destrucción segura de material confidencial y sensible (UNE, 2024). En la práctica, ayuda a profesionalizar un punto que muchas organizaciones todavía resuelven con una trituradora ruidosa al lado de la cafetera.

Checklist final para revisar la ciberseguridad física de tu empresa

La ciberseguridad física no necesita empezar con un proyecto enorme. Puedes comenzar con una revisión honesta de tus procesos. Algo parecido a revisar permisos en un servidor antiguo: primero descubres, luego corriges, después automatizas lo que puedas.

Aquí tienes una checklist práctica:

• ¿Tienes identificado qué documentación física contiene datos personales o información sensible?
• ¿Sabes dónde se guarda cada tipo de documento?
• ¿Existe una persona o área responsable de cada archivo?
• ¿Los archivadores con documentación confidencial tienen cerradura?
• ¿Las salas de archivo tienen acceso limitado?
• ¿Se registran préstamos, consultas o traslados de expedientes?
• ¿Hay una política clara sobre impresiones y copias físicas?
• ¿Se usan impresoras seguras para documentos sensibles?
• ¿El personal retira los documentos inmediatamente tras imprimir?
• ¿Existe una política de escritorio limpio?
• ¿Se revisan los plazos de conservación documental?
• ¿Se destruyen documentos cuando dejan de ser necesarios?
• ¿La destrucción se realiza con un método adecuado?
• ¿Se conserva certificado de destrucción cuando corresponde?
• ¿El personal sabe cómo actuar ante pérdida, robo o exposición de documentos?

Si respondes “no” a varias preguntas, no significa que tu empresa esté perdida. Significa que hay superficie de mejora. En mi mundo, eso se parece mucho a encontrar servicios expuestos durante una auditoría interna: molesta verlo, pero es mejor descubrirlo tú que esperar a que lo descubra otro.

También conviene revisar hábitos concretos. Las medidas pequeñas suelen tener mucho retorno:

• Retirar documentos de impresoras al momento
• Guardar expedientes al terminar la jornada
• Evitar copias “por si acaso”
• Usar contenedores cerrados para papel confidencial
• Revisar archivadores antiguos
• Formar al personal con ejemplos reales
• Documentar la destrucción de lotes sensibles
• Hacer revisiones periódicas fuera del modo “todo va bien”.

La cultura de seguridad se construye así, con capas. Una política que nadie entiende no sirve. Un procedimiento que nadie aplica tampoco. Pero una serie de hábitos sencillos, repetidos y revisados, puede reducir muchísimo el riesgo.

Cómo encaja todo esto en la estrategia de ciberseguridad de una empresa

Me gusta pensar en la empresa como un sistema distribuido. Tiene nodos digitales, nodos humanos y nodos físicos. Los servidores procesan datos. Las personas toman decisiones. Los documentos en papel transportan información entre procesos. Si proteges una parte y descuidas otra, el sistema hereda la debilidad del nodo peor defendido.

La seguridad documental física encaja en varias áreas de negocio:

Desde la perspectiva de ROI, controlar documentos físicos reduce pérdidas de tiempo, exposición legal, duplicidades, almacenamiento innecesario y riesgo reputacional. No es una inversión glamurosa, lo sé. Nadie presume en LinkedIn de haber ordenado el archivo muerto. Pero muchas empresas han perdido más dinero por procesos mal controlados que por ataques sofisticados.

La ciberseguridad madura no consiste en comprar la herramienta más brillante, sino en entender dónde vive la información y protegerla según su riesgo. A veces vive en una base de datos PostgreSQL. A veces vive en un PDF. A veces vive en una carpeta azul dentro de un archivador gris.

Y esa carpeta también cuenta.

Errores frecuentes al proteger documentación física

Hay patrones que se repiten mucho. Los veo como bugs clásicos de diseño organizativo.

Pensar que el papel no es ciberseguridad

Este es el primero. Como el documento no está conectado a internet, se asume que no pertenece al ámbito de seguridad. Pero si contiene datos personales o información crítica, forma parte del sistema de información. La seguridad no depende del soporte; depende del valor del dato.

Guardar todo indefinidamente

Algunas empresas conservan documentación “por si acaso” durante años. Ese hábito crea almacenes llenos de datos sin finalidad clara. Además, cuanto más volumen acumulas, más difícil resulta localizar, custodiar y eliminar correctamente.

No formar al personal

Puedes tener armarios cerrados y políticas internas, pero si nadie entiende por qué importan, los atajos aparecerán. La formación debe ser concreta: ejemplos de impresoras, mesas, papeleras, expedientes y visitas externas. Menos teoría abstracta y más oficina real.

Confundir trituradora con estrategia

Una trituradora ayuda, pero no resuelve por sí sola la gestión documental. Hay que decidir qué se destruye, cuándo, quién lo autoriza, cómo se registra y qué evidencia queda. Sin proceso, la herramienta es solo ruido mecánico.

Olvidar a proveedores y terceros

Personal de limpieza, mantenimiento, mensajería, visitas, técnicos externos o proveedores pueden pasar por zonas con documentación visible. No hace falta sospechar de todo el mundo. Basta con diseñar espacios donde la información sensible no quede expuesta sin necesidad.

Tu seguridad también se mide en papel

Saber cómo proteger documentos físicos con datos sensibles te ayuda a reducir riesgos legales, mejorar la trazabilidad interna y tratar la información empresarial con el mismo rigor que aplicas a tus sistemas digitales. El papel no es un residuo del pasado; en muchas empresas sigue siendo una interfaz crítica entre personas, procesos y obligaciones.

La ciberseguridad más útil no se queda mirando el firewall como si fuera una muralla mágica. Revisa también la impresora, el archivador, la mesa, la papelera, el almacén y la caja que alguien dejó “temporalmente” en una sala hace tres años. Ahí también viven datos. Ahí también hay riesgo. Ahí también puede empezar un incidente.

Mi recomendación, bastante de sysadmin viejo pero eficaz, es empezar por lo observable: inventario, clasificación, accesos, conservación y destrucción. Si puedes explicar dónde está un documento, quién puede verlo, cuánto tiempo debe conservarse y cómo se elimina, has ganado mucho terreno. Si además puedes demostrarlo, mejor aún.

La seguridad de la información es una arquitectura por capas. Algunas capas tienen dashboards, alertas y logs. Otras tienen llaves, registros, contenedores cerrados y certificados de destrucción. Las dos importan. Porque al final, el atacante, el error humano o la mala costumbre no distinguen entre digital y físico. Solo buscan el camino más fácil.

Referencias consultadas:

• Agencia Española de Protección de Datos. (2023). Seguridad de los tratamientos. 
• Agencia Española de Protección de Datos. (2024). Derecho de supresión (“al olvido”). https://www.aepd.es/derechos-y-deberes/conoce-tus-derechos/derecho-de-supresion-al-olvido
• Instituto Nacional de Ciberseguridad. (s. f.). Protección de la información. INCIBE. https://www.incibe.es/empresas/que-te-interesa/proteccion-informacion
• UNE. (2026). Destrucción segura de material confidencial y sensible. Revista UNE. https://revista.une.org/70/destruccion-segura-de-material-confidencial-y-sensible.html